Platí GDPR mimo EU? Tři cesty územní působnosti

Otázka, zda platí GDPR mimo EU, začíná konkrétní operací, ne mapou sídel ¹. Samotná dostupnost webu v Unii ještě není cílením ². Jedna činnost firmy může do článku 3 spadat a jiná zůstat mimo něj.

Územní test se zapisuje po samostatných činnostech, protože jedna firma může současně provozovat obecně dostupnou stránku, cílenou nabídku pro určitý trh, podporu spojenou s provozovnou a analytiku vytvářející behaviorální profil. Každý řádek proto uvádí osoby, účel, tok, rozhodující signály, datum a vlastníka, aby nejsilnější vazba jedné služby automaticky neurčila všechny ostatní databáze. Neznámý signál dostává důkazní úkol a termín místo tichého záporného výsledku.

Stručná odpověď

GDPR může platit pro firmu mimo EU, pokud zpracovává údaje v souvislosti s provozovnou v Unii ¹, záměrně nabízí zboží či služby lidem v EU nebo sleduje jejich chování v EU ². Běžná globální dostupnost nestačí; každou činnost posuďte zvlášť a teprve potom řešte zástupce.

Naposledy aktualizováno: 26. srpna 2026

Začněte operací, ne sídlem společnosti

Článek 3 se uplatňuje na zpracování osobních údajů, proto záznam vymezí účel, osoby, data, systém a odpovědné role ¹. EDPB doporučuje analyzovat každou činnost samostatně ². Americká firma může mít místní záruční systém a současně evropský objednávkový kanál; kladný výsledek druhého bez dalšího nepokrývá první.

Zachyťte také polohu lidí v okamžiku nabídky nebo sledovaného chování ³. Občanství není náhradou tohoto testu; rozdělte mapu alespoň na prodej, podporu, analytiku, nábor a provoz aplikace. U každé části uveďte správce, zpracovatele, účel a důkaz. Tím se vyhnete dvěma opačným chybám: rozšíření jedné evropské kampaně na každou databázi i skrytí evropského sledování za místní sídlo.

Praktická inventura sleduje okamžik vstupu údaje i rozhodnutí, které z něj vznikne. Zákaznická podpora může sdílet platformu s prodejem, ale mít jiný účel a jinou územní cestu. Pokud operace obsahuje několik účelů, rozdělte je; jeden kladný prvek nesmí bez vysvětlení překrýt zbytek a záporný závěr musí uvést, které evropské vazby byly skutečně prověřeny, nikoli pouze to, že mateřská společnost sídlí mimo Unii.

Tři cesty článku 3 mají různé vstupy

Pracovní mapa ponechává všechny tři cesty oddělené až do závěru, protože provozovna se opírá o stabilní uspořádání a souvislost, nabídka o objektivní záměr a monitorování o sledování chování osob v Unii. Ke každé cestě přiřaďte samostatné důkazy, otevřené otázky a protifakt, aby kladný signál jedné větve nezakryl chybějící podmínku jiné. Pokud se více cest uplatní současně, registr je zaznamená vedle sebe a uvede společný rozsah i rozdíly mezi dotčenými operacemi. Změna se potom porovnává pouze s větvemi, které může skutečně ovlivnit. Výsledek tak zůstává vysvětlitelný i po změně týmu, dodavatele nebo obchodního modelu.

Provozovna zkoumá souvislost operace se stabilním uspořádáním v EU ¹. Nabídka a sledování se zaměřují na lidi v EU a mohou zasáhnout subjekt bez evropské provozovny ². Úzká větev veřejného mezinárodního práva zůstává oddělená.

Nejprve ověřte provozovnu, potom nabídku a sledování ¹. U každé kladné cesty zapište příslušný odstavec a podpůrná fakta ³. U záporného výsledku uchovejte důkazy a spouštěč, například nový trh či analytickou funkci.

Tři cesty se mohou překrývat, ale neslévejte je do neurčité odpovědi. Firma může mít relevantní provozovnu pro jednu službu a současně cílit jinou službou bez vazby na tuto provozovnu. U každé cesty napište mini-závěr: fakta, právní prvek, výsledek a další krok. Teprve potom vytvořte souhrn konkrétní činnosti. Úzkou větev veřejného mezinárodního práva ponechte stranou, pokud pro ni neexistuje doložený důvod.

Vymezte zpracování, provozovnu a souvislost. Pokud tato cesta neplatí, prověřte nabídku a signály cílení; pouhá dostupnost pokračuje k testu sledování. Kladná nabídka nebo sledování otevřou článek 27, zatímco záporné výsledky vedou mimo článek 3 ^{1 2}.

Provozovna je skutečné uspořádání a souvislost

U skupinové struktury zakreslete, která jednotka rozhoduje o účelu, poskytuje lidi nebo technické prostředky a zpracovává údaje, protože společná značka ani vlastnický vztah samy neprokazují souvislost konkrétní činnosti s provozovnou v Unii. Smlouvu porovnejte se skutečnou prací obchodního, podpůrného a produktového týmu, aby papírové rozdělení nezakrylo pravidelnou účast místní jednotky na získávání či obsluze zákazníků; pokud se vazba týká jediné služby, závěr se automaticky nerozšíří na ostatní databáze skupiny. Záporná odpověď stejně přesně uvede, které skutečnosti o stabilním uspořádání nebo funkční souvislosti chybějí.

Provozovna nemusí být dceřinou společností; stačí skutečné stabilní uspořádání s reálnou činností ¹. Právní forma sama nerozhoduje ². Druhým prvkem je souvislost konkrétní operace s jejími činnostmi ³. Technické provedení mimo EU ani místo serveru tento vztah samo neruší.

Evropská obchodní kancelář může podporovat prodej služby zpracovávané mimo EU; pokud je vztah neoddělitelný, cesta může platit ². Naopak nezávislý dodavatel bez takové vazby nepřenáší automaticky všechny databáze. Ptejte se, kdo získává zákazníky, poskytuje podporu, určuje nabídku a ekonomicky umožňuje operaci. Smlouva je důkaz, ale musí odpovídat reálnému toku práce.

Stabilitu posuzujte podle trvání, lidí a skutečné činnosti, nikoli vlastnictví kanceláře. Souvislost vyžaduje více než společné logo; nakreslete tok od evropské činnosti ke zpracování: jak kancelář získává zakázku, předává údaje, podporuje službu a z čeho má užitek. Pokud tok chybí, uložte to jako záporný důkaz. Pokud existuje, server v jiné zemi jej sám nepřeruší.

Nabídka potřebuje objektivní záměr

Záměr vyhodnocujte z kombinace signálů dostupných při návrhu nabídky, nikoli z jediné návštěvy, izolované měny nebo pozdějšího prodeje, který firma předem nezamýšlela. Uchovejte verzi stránky, možnosti doručení, jazyk, místní reference, reklamu, kontaktní kanály a smluvní podmínky spolu s vysvětlením jejich váhy. Pokud jeden signál míří do Unie a jiný ji z nabídky zřetelně vylučuje, záznam rozpor neskrývá, ale popíše skutečnou zákaznickou cestu a schvalující roli. Protifakt ukáže, která budoucí změna by současné ne proměnila v ano.

Obchodní tým potvrdí, pro koho byla kampaň plánována, produktový vlastník dostupné země a provoz skutečnou možnost uzavřít a splnit objednávku, protože veřejný text nemusí odpovídat konfiguraci systému. Důkaz musí zachytit i čas, jelikož firma může místní dodání zapnout až po původním posouzení. Starší globální stránka se proto neposuzuje podle dnešní kampaně a dnešní nabídka se neopírá o neaktuální snímek. Výsledkem je činnostní závěr s jasnou hranicí, ne štítek přidělený celé značce.

Platba není podmínkou ¹. Důležité jsou objektivní okolnosti ukazující záměr oslovit lidi v EU ². Jedno políčko nestačí ³.

Žádný signál není rozhodující sám; uchovejte nastavení kampaní, země doručení, kontaktní cesty a obchodní plán. Prohlášení „na EU necílíme“ neobstojí proti opačnému nastavení, ale jeden náhodný evropský zákazník také nemá převážit soustavný místní model.

Posouzení nabídky musí zopakovat i člověk, který kampaň nevytvářel. Ke každému signálu uveďte zdroj: export publika, seznam zemí v košíku, servisní podmínky, kontaktní číslo, jazyk a reference. Vysvětlete společný význam. Měna použitá globálně může mít malou váhu; stejná měna spojená s doručením, místní reklamou a podporou může mít váhu podstatně vyšší.

Pouhá dostupnost není cílení

Kontrola nepočítá technické signály, ale hodnotí jejich společný význam v době, kdy firma nabídku navrhovala, takže pozdější návštěva z Unie sama nedoplní původní záměr. Zachyťte jazyk, měnu, dodání, místní reference, placenou propagaci, kontaktní kanály a podmínky objednávky spolu s datem a místem důkazu. Protikladné signály záznam výslovně zváží a uvede schvalující roli. Tím se odliší skutečná nabídka konkrétnímu trhu od obecné stránky, kterou lze technicky otevřít téměř odkudkoli.

Web otevřitelný z EU není jen proto nabídkou lidem v EU ². Totéž platí pro e-mail a kontaktní údaje ³. Nevyžádaný dotaz nebo návštěva samy nevytvářejí předchozí záměr. Odpověď na jednorázový kontakt může zůstat místní, pokud nenásleduje pravidelný evropský kanál.

Skutečná záporná větev popíše firmu bez relevantní provozovny, doručení, cílené reklamy a sledování v EU ². Veřejná stránka tyto fakty nemění ³. Přesto prověřte zprostředkovatele, affiliate prodej a konfiguraci analytiky. Kladnou větev může vytvořit následný plán, nikoli samotný původ nevyžádaného kontaktu.

Jednorázovou objednávku popište v čase: co firma nabízela před kontaktem, jak odpověděla a zda poté změnila doručení, reklamu nebo podporu. První fáze mohou zůstat bez cílení, zatímco následný pravidelný kanál už prokazuje záměr. Technické blokování evropských návštěv není povinným záporným důkazem a jeho absence není automatickým kladným důkazem. Test sleduje obchodní realitu.

Sledování je samostatná cesta

Mapování sledování začněte událostí zachycenou u člověka a pokračujte přes identifikátor, spojení návštěv, odvozený segment, rozhodnutí a dobu uchování, protože samotný název analytického nástroje neukazuje, zda firma sleduje chování v Unii. U každého kroku uveďte, zda popisuje minulé jednání, předpovídá další volbu nebo mění cenu, obsah, pořadí či přístup ke službě, aby se provozní metrika nemíchala s behaviorálním profilem. Podstatná je schopnost spojovat události napříč zařízeními, relacemi nebo partnery, i když jednotlivý záznam působí neškodně. Konfiguraci ověřte přímo v systému a uchovejte datum, snímek nastavení, vlastníka i změnu, která závěr znovu otevře. Chybějící přístup ke konfiguraci vytváří důkazní úkol, nikoli automatické ne.

Rozhodnutí rozlišuje návštěvníky, registrované uživatele, zákazníky a osoby zachycené přes partnera, protože každý proud může mít jiný účel, identifikátor a zeměpisnou vazbu. Souhlasový banner ani smluvní označení samo neurčuje územní působnost a nenahrazuje popis skutečné operace. U záporné větve zaznamenejte, proč údaje nevytvářejí ani nepodporují profil chování a který nový prvek by odpověď změnil. U kladné větve přesně vymezte zpracování, aby se výsledek bez důvodu nerozšířil na každou analytiku společnosti. Sledování se tak posoudí reprodukovatelně místo podle obecného dojmu z technologie.

Sledování se týká chování lidí v EU ¹. EDPB zkoumá účel osobu sledovat a získané údaje znovu používat ². Konečné pokyny vyžadují věcný pohled na chování ³. Analytika, reklama, geolokace, cookies a otisky zařízení mohou být relevantní, ale název nástroje není test. Ne každá analýza tedy automaticky splní podmínku.

Popište události, identifikátory, spojování v čase, dobu uchování, vytvořené segmenty a následná rozhodnutí ³. Krátký technický záznam se liší od profilu napříč zařízeními. Geolokace může jednorázově nastavit jazyk nebo dlouhodobě sledovat pohyb. Konfigurace a účel rozhodují více než značka dodavatele.

Při auditu otevřete skutečné nastavení; zjistěte, zda identifikátor přetrvává, zda se události spojují mezi návštěvami, zda vzniká segment nebo předpověď a zda výstup mění reklamu, cenu či pořadí. Uveďte, jak se určuje poloha člověka. Obecná věta dodavatele o anonymních statistikách nemá převážit vlastní konfiguraci, stejně jako přítomnost cookie sama neprokazuje behaviorální sledování.

Hraniční případy končí důkazním úkolem

Hraniční případ rozdělte na nejmenší samostatné činnosti s vlastním účelem, osobami, údaji a způsobem získání, protože jedna zákaznická cesta může spojovat necílenou návštěvu, pozdější místní kampaň i sledování chování po registraci. Ke každé činnosti přiřaďte důkaz dostupný při rozhodnutí a protifakt, který by výsledek změnil, například místní doručení, behaviorální profil nebo trvalou podporu z provozovny v Unii. Neznámý údaj se tiše nemění v zápornou odpověď, ale dostává vlastníka a termín ověření. Rozpis brání tomu, aby nejsnáze obhajitelná část zastoupila celý obchodní model.

Nahraďte obecná slova exportem kampaně, zeměmi doručení, nastavením analytiky a úlohou kanceláře. Pokud důkaz chybí, zapište vlastníka a termín; nevyplněná mezera není záporný fakt. Dočasný stav MEASURE_FIRST je přesnější než jistý závěr bez konfigurace.

Tabulku používejte jako seznam vyšetřovacích úkolů; ke každému řádku přidejte osobu, která fakt zná, systém, kde se ověří, a datum odpovědi. Poté napište, který prvek článku 3 podporuje. Smíšené důkazy nepočítejte na body; vysvětlete jejich společný význam a proč jeden silný fakt může převážit několik slabých znaků.

Článek 27 přichází po kladném článku 3

Po kladném výsledku vytvořte samostatný krok pro zástupce a zaznamenejte dotčenou činnost, typy údajů, osoby, rozsah a důvod případné výjimky. Rozhodnutí musí zůstat dohledatelné po změně dodavatele nebo kanálu, proto uchovejte kontakty, datum, schválení, veřejné informace a spouštěč přezkumu na jednom místě. Pokud se článek 3 neuplatní, zástupce se neurčuje jen pro pocit bezpečí. Pokud se uplatní, jeho určení nenahrazuje ostatní povinnosti správce ani důkaz územního testu.

Zástupce se řeší až u subjektu bez provozovny, na který dopadá článek 3 odst. 2 ². Pokyny drží tento test odděleně ³. Výjimka je kumulativní: příležitostnost, žádné rozsáhlé údaje podle článků 9 či 10 a nepravděpodobné riziko. Nesplnění jednoho prvku znamená, že výjimka neplatí.

Orgány veřejné moci mají samostatnou výjimku. Soukromá firma ji nesmí směšovat s kumulativním testem. U příležitostnosti popište frekvenci a vztah k běžnému modelu, u citlivých údajů kategorii a rozsah a u rizika možné následky. Zástupce není provozovnou ani přesunem odpovědnosti.

Příležitostnost není totéž co malý podíl globálního obratu. Pravidelná služba evropským uživatelům může být běžnou činností, i když je skupina menší. Každý prvek výjimky dostane vlastní pole a důkaz; chybějící prvek znamená, že výjimka nefunguje. Záznam o zástupci uvede, pro které činnosti jedná a jak jej mohou kontaktovat dozorové úřady a dotčené osoby.

Závěr ukládejte po činnostech

Registr veďte po jednotlivých činnostech, nikoli podle celé skupiny. Každý řádek pojmenuje osoby a jejich polohu, účel, data, provozovnu a funkční souvislost, signály nabídky nebo způsob sledování. Závěr uvede příslušnou cestu článku 3 nebo konkrétní důvod, proč žádná neplatí.

K řádku připojte vlastníka, datum a verzi důkazu: nastavení kampaně, země doručení, analytické události, mapu toku či úlohu evropské kanceláře. Neznámý fakt dostane termín ověření. Po kladném článku 3 odst. 2 následuje samostatný test článku 27; záporný výsledek uvádí protifakt, který by analýzu znovu otevřel.

Vlastník při přezkumu porovná aktuální provozovnu, nabídku a sledování s uloženou verzí. Zapíše, zda rozdíl mění výsledek, jeho rozsah nebo jen sílu odůvodnění. Historie zachová původní hranici, aby nový tým odlišil změnu činnosti od opravy popisu a nemusel spoléhat na paměť účastníků.

Spouštěčem může být nový trh, jazyk, doručení do EU, evropské reklamní publikum, profilování nebo stabilní uspořádání. Obchod vlastní země nabídky, marketing publikum, technický tým konfiguraci a souladová role právní test. Jedna odpovědná osoba spojí vstupy; schvalující role ověří důkazy a rozsah. Změna jedné činnosti tak automaticky neotevře celý podnik, ale prověří společné systémy a identifikátory, které mohou následek přenést dál.

Časté otázky firmy mimo EU

Krátká odpověď vždy předpokládá konkrétní činnost, čas a důkaz, takže ji nelze přenést na jiný produkt, zákaznický kanál nebo konfiguraci sledování bez nového porovnání. Otázka na jediný signál se vrací ke společnému obrazu záměru, provozovny nebo monitorování a vysvětluje, který další fakt by měl rozhodovací význam. U zástupce se nejprve uzavírá článek 3 a teprve potom samostatný test článku 27. Každý závěr se ukládá s vlastníkem a spouštěčem, aby změna nebyla odkázána na paměť původního týmu.

Při přezkumu porovnejte současnou stránku, kampaně, smlouvy, datové toky a analytickou konfiguraci s verzí, na níž byl založen předchozí výsledek. Změna názvu dodavatele sama nemusí být rozhodující, zatímco nový identifikátor umožňující spojovat chování napříč návštěvami může otevřít samostatnou cestu monitorování. Registr proto uchovává nejen konečné ano nebo ne, ale i důkaz a protifakt. Často kladená otázka pak slouží jako vstup do testu, nikoli jako bezpečný přístav.

Stačí návštěva z EU?

Ne. Dostupnost a nevyžádaný kontakt neprokazují záměr ¹. Rozhoduje kombinace faktů ². Nový pravidelný kanál vyžaduje nové posouzení.

Rozhoduje evropská měna?

Ne. Je jedním signálem ³, nikoli automatickým závěrem ². Čtěte ji s reklamou, doručením a kontakty.

Pokrývá GDPR každou databázi skupiny?

Ne. Provozovna potřebuje souvislost konkrétní operace ². Test je funkční ³ a technické provedení mimo EU jej samo nevylučuje ¹.

Je každé cookie sledováním?

Ne. Rozhoduje účel sledovat a znovu používat chování ². Technologie je vstup ³, konfigurace a skutečné rozhodnutí jsou výsledek ¹.

Potřebujeme zástupce při občasném prodeji?

Nejprve musí platit článek 3 odst. 2 ². Výjimka vyžaduje všechny tři prvky ³, nikoli jediný splněný bod.

Může se závěr změnit?

Ano. Působnost sleduje skutečné činnosti. Nové doručení, provozovna či sledování mohou otevřít jinou cestu. Záznam proto má vlastníka, důkaz a spouštěč.

Všech šest odpovědí se vrací ke stejné metodě: vymezená činnost, objektivní fakta, správná cesta článku 3 a vykonatelný další krok. Firma mimo EU tak dostane skutečnou zápornou větev pro běžnou dostupnost i úzkou kladnou větev pro nabídku nebo sledování, aniž by se celý podnik bez důvodu přerámoval jako evropský.